透過的なデータ暗号化

ASOAGは、TDEを使​​用する次の理由について言及しています。

1. 誰かがストレージメディアやデータファイルを盗んだ場合でも機密データを保護するため。
2. セキュリティ関連の規制コンプライアンスの問題に対処するため。
3. アプリケーションデータを復号化するための追加の補助ビューまたはビューを作成するため。アプリケーションにほとんどまたはまったく変更を加えることなく、データベースユーザーとアプリケーションのテーブルデータを透過的に復号化します。
4. DBおよびアプリケーションのユーザーは、アクセスしているデータが暗号化されていることに気付く必要はありません。
5. オンライン再定義を使用するか、オフラインモードで暗号化することにより、ダウンタイムなしでデータを暗号化できます。
6. 暗号化されたデータを処理するためにアプリケーションを変更する必要はありません。データベースはデータを暗号化および復号化します。
7. Oracle Databaseは、TDEマスター暗号化キーおよびキーストア管理操作を自動化します。

TDEを構成する

TDEとウォレットを構成するには、次の手順を実行します。

1. ウォレットまたはキーストアの場所を作成します：

    mkdir -p /u01/oracle/wallet
   

2. sqlnet.oraでウォレットまたはキーストアの場所を更新します ：

    cat $ORACLE_HOME/network/admin/sqlnet.ora
    # sqlnet.ora Network Configuration File: /home/oracle/app/oracle/product/12.1.0/dbhome_1/network/admin/sqlnet.ora
    # Generated by Oracle configuration tools.
    NAMES.DIRECTORY_PATH= (TNSNAMES, EZCONNECT)
    ENCRYPTION_WALLET_LOCATION =
    (SOURCE =(METHOD = FILE)(METHOD_DATA =
    (DIRECTORY = /u01/oracle/wallet)))
   

3. キーストアを作成する：

    SQL> ADMINISTER KEY MANAGEMENT CREATE KEYSTORE '/u01/oracle/wallet/' IDENTIFIED BY Oraclewallet#123 ;
    keystore altered.
    SQL> host ls /u01/oracle/wallet/
    Oraclewallet.P12
   

4. キーストアを開きます：

   SQL> ADMINISTER KEY MANAGEMENT SET KEYSTORE OPEN IDENTIFIED BY Oraclewallet#123;
   keystore altered.
   

5. キーをアクティブにします：

    SQL> SET LINESIZE 100
    SELECT con_id, key_id FROM v$encryption_keys;SQL> 
   
    no rows selected
    SQL> ADMINISTER KEY MANAGEMENT SET KEY IDENTIFIED BY Oraclewallet#123 WITH BACKUP;
    keystore altered.
    SQL> SET LINESIZE 100
    SELECT con_id, key_id FROM v$encryption_keys;SQL> 
   
    CON_ID KEY_ID
    ---------- ------------------------------------------------------------------------------
        0 HTDRKP*%GRLOHNRWMrX2QAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
    SQL> SET LINESIZE 200
    COLUMN wrl_parameter FORMAT A50
    SELECT * FROM v$encryption_wallet;
    SQL> SQL> 
    WRL_TYPE      WRL_PARAMETER                                                     STATUS             
    WALLET_TYPE              WALLET_OR FULLY_BAC     CON_ID
    -------------------- -------------------------------------------------- ------------------------------ -------------------- --------- --------- ----------
    FILE                   
    /u01/oracle/wallet/                                             OPEN       
    PASSWORD        SINGLE   
    NO                  0
   

6. 暗号化されたテーブルスペースを作成します：

    SQL> CREATE TABLESPACE ENCRYPTION_TEST 
    datafile '/u01/oracle/app/oracle/oradata/db/encrytest.dbf' size 2G 
    ENCRYPTION USING 'AES256'
    DEFAULT STORAGE(ENCRYPT);  2   
    3    4  
    Tablespace created.
    SQL> create table ENCRYPTION_EMP(
      empno   Number(3),
      Name     varchar(10)
    ) tablespace ENCRYPTION_TEST;  2   
    3    4  
    Table created.
    SQL> select tablespace_name,encrypted from dba_tablespaces where tablespace_name='ENCRYPTION_TEST';
    TABLESPACE_NAME              ENC
    ------------------------------ ---
    ENCRYPTION_TEST                           YES
   

7. 暗号化された列を持つテーブルを作成します：

    SQL> CREATE TABLE employee (
    first_name VARCHAR2(128),
    last_name VARCHAR2(128),
    empID NUMBER,
    salary NUMBER(6) ENCRYPT
    ); 2 3 4 5 6
    Table created.
    SQL> select owner,table_name,column_name,encryption_alg from dba_encrypted_columns where table_name='EMPLOYEE';
    OWNER TABLE_NAME COLUMN_NAME ENCRYPTION_A
    ---------- ------------ ------------ -----
    RAJ EMPLOYEE SALARY AES 192 bits
    key
   

8. 自動ログインを有効にする：

    SQL> SELECT * FROM v$encryption_wallet;
    WRL_TYPE      WRL_PARAMETER       STATUS       WALLET_TYPE     WALLET_OR     FULLY_BAC     CON_ID
    ----------    ------------------- ------------ --------------- ------------- ------------- ----------
    FILE          /u01/oracle/wallet/   OPEN         PASSWORD      SINGLE         NO            0
   

ここにwallet_type PASSWORDです 。データベースを再起動するたびに、キーまたはウォレットを明示的に開く必要があります。これを回避するには、自動ログインを有効にして、データベースの再起動時にウォレットを自動的に開きます。